Внедрили двухфакторную аутентификацию для VPN и SSO в компании АСГ

Дмитрий Мельников Руководитель группы

О компании

Алкогольная Сибирская Группа — производитель крепкого алкоголя в РФ. В компании работает больше 1500 сотрудников, часть из которых регулярно использует удаленный доступ к корпоративным ресурсам.

Задача

В компании решили внедрить двухфакторную аутентификацию, чтобы защитить удаленный доступ к корпоративной инфраструктуре.

Виталий Иванов
Начальник отдела информационной безопасности

Архитектура компании выстроена таким образом, что человек, подключающийся к корпоративному ВПН, получает достаточно широкий доступ ко всем системам в компании. Когда этот доступ стал массовым, вопрос стал острее.

В компании понимали, что одного логина и пароля для такого уровня доступа недостаточно. Особенно если учесть, что сотрудники не всегда относятся к рабочим учетным данным как к критически важной информации.

Виталий Иванов
Начальник отдела информационной безопасности

Держать такой доступ на одном логине и пароле, который привязан к учетной записи сотрудника, рискованно. Сотрудники не всегда понимают, что этот логин и пароль достаточно критичны, что он должен быть только для работы, а не для всего подряд. Мы такие случаи множество раз фиксировали и поняли, что нужен дополнительный способ защиты.

Решение для двухфакторной аутентификации искали по нескольким критериям.

Виталий Иванов
Начальник отдела информационной безопасности

Способ защиты должен быть минимально дискомфортным для сотрудников и максимально удобным в использовании и интеграции. Чтобы мы могли его быстро запустить, потихоньку переводить сотрудников, и чтобы у сотрудника максимум, что поменялось, — появилось приложение на телефоне, которое он сам может скачать.

Еще одно важное требование — не усложнять текущую схему подключения к ВПН. В компании не хотели внедрять дополнительный ВПН-клиент и менять привычный для сотрудников процесс.

Виталий Иванов
Начальник отдела информационной безопасности

Мы делали расчет, что нам не нужен дополнительный ВПН-клиент. Сам ВПН-клиент у нас используется на встроенных средствах Windows. То есть важно было, чтобы все было максимально просто. Плюс совместимость с тем оборудованием и протоколами, которые мы используем в компании.

В итоге в компании выбрали ID от Контур.Эгиды и приступили к тестированию.

Двухфакторная аутентификация

ID — защита учетных записей сотрудников: подключений через VPN, RDG, ActiveSync, ADFS (протоколы OpenID Connect, SAML), защита входа в Windows, OWA.

Оставить заявку

Решение

Тестировали решение на сотрудниках ИТ-отдела

Выбрав ID, в компании протестировали сервис на сотрудниках дирекции по информационным технологиям.

Виталий Иванов
Начальник отдела информационной безопасности

Одна из первых просьб касалась установки и масштабирования двухфакторной аутентификации на Windows Logon, на конечных точках. Мы территориально распределенные, у нас нет ресурса каждому пользователю ходить что-то устанавливать, тем более выдавать ему права на установку. Нам нужно было решение, которое мы можем устанавливать удаленно, в том числе средствами администрирования Kaspersky Security Center. Ребята из Контура адаптировали под нас MSI-пакет, чтобы мы могли его раскатывать и устанавливать массово.

Первым приоритетным сценарием стала защита ВПН.

Виталий Иванов
Начальник отдела информационной безопасности

ВПН — первая опасная точка входа. И это понятный сценарий для сотрудников: если сотрудник хочет работать из дома, доступ должен быть защищен вторым фактором.

После ВПН компания начала расширять ID на SSO.

Виталий Иванов
Начальник отдела информационной безопасности

После подключения ВПН мы масштабировали ID на SSO. Мы используем серверы ADFS на базе Microsoft, и к ним привязаны некоторые наши порталы, сетевые ресурсы. Сейчас мы потихоньку сотрудникам прививаем ту реальность, что теперь и доступ к этим сервисам будет с двухфакторной авторизацией.

Сотрудники отнеслись к внедрению спокойно, но часть пользователей была недовольна тем, что нужно устанавливать приложение на личный телефон.

Виталий Иванов
Начальник отдела информационной безопасности

Большая часть сотрудников достаточно спокойно к этому отнеслась. Было определенное недовольство о том, что нужно ставить приложение на свой телефон, наверное, у 15–20%. Чтобы снять возражения, мы подготовили инструкции. Общее содержание посыла было такое: реальность такова, что без этого никуда. У вас Госуслуги, Яндекс, Гугл, любая почта с двухфакторкой. Двухфакторка — это такая же реальность, как утром зубы почистить. Она с нами теперь навсегда.

Отдельно работали с сотрудниками, которые опасались, что через приложение компания будет за ними следить. Им показывали, какие данные видит ИТ-команда.

Виталий Иванов
Начальник отдела информационной безопасности

Сотрудникам показывали, что мы видим на своей стороне: мобильный телефон, учетную запись, почту и вход, когда он нажал кнопку. Мы не отслеживаем геолокацию и не смотрим, сколько времени он провел за ВПН.

Информационная безопасность бизнеса

Контур.Эгида — сервисы информационной безопасности: уменьшение рисков внутренних угроз и утечек конфиденциальных данных, предотвращение атак злоумышленников.

Оставить заявку

Результаты

Сейчас двухфакторная аутентификация подключена у 650  сотрудников АСГ и это число регулярно растет.

Виталий Иванов
Начальник отдела информационной безопасности

Сейчас, когда у 80% сотрудников двухфакторка уже есть, мы достаточно спокойно можем ее масштабировать на прочие системы.